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® Vorrichtung zur Uberwachung eines Prozessors 

@ Es wird eine Vorrichtung zur Uberwachung eines Pro- 
zessors vorgeschlagen, die sich dadurch auszeichnet, 
dass ein Watchdog gleichzeitig den Sytemtakt, die Soft- 
warebasisfunktionen und die Uberprufung der tests der 
Systemkomponenten des Prozesses durchfuhrt. Wird ein 
Fehler erkannt, wird dies dem Prozessor von dem Watch- 
dog signalisiert, ein Fehlerzahler wird inkrementiert und 
eine Sperrung von wenigstens einem ah den Prozessor 
angeschlossenen Gerat wird durchgefuhrt. Erreicht ein 
Fehlerzahler einen vorgegebenen Wert, erfolgt die Sper- 
rung bis zum Abschalten der erfindungsgema&en Vor- 
richtung. Wird ein weiterer Fehler innerhalb einer Sperr- 
zeit erkannt, dann wird die Sperrzeit verlangert. 
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Beschreibung 

Stand der Technik 

[0001] Die Erfindung geht aus von einer Vorrichtung zur 
Uberwachung eines Prozessors nach der Gattung des unab- 
hangigen Patentanspruchs. 

[0002] Es ist bereits bekannt, fur einen Mikrocontrollersy- 
stem einen Watchdog vorzusehen, der in vorgegebenen Zeit- 
intervallen getriggert wird und selbst diese Triggerung in 
bestimmten Zeitfenstern erwartet. Dies nennt man dann ei- 
nen Fenster- Watchdog, Wird der Watchdog auBerhalb des 
Fensters getriggert, kommt es zu einem Reset (Neustart) des 
Mikrokontrollersy stems . 

[0003] Aus dem "Patent Abstracts of Japan der Anmel- 
dung JP 61-29239 A" ist eine Vorrichtung zur Uberwachung 
eines Prozessors bekannt, wobei der Prozessor mit einem 
Watchdog zur "Oberwachung verbunden ist und der Watch- 
dog Mittel zur Softwareuberpriifung des Prozessors auf- 
weist und bei wenigstens einem erkannten Fehler einen Feh- 
lerzahler inkrementiert und eine Fehlermeldung an den Pro- 
zessor iibertragt. Aus Kannenberg, Reinhard: Embedded- 
Controller: Systemsicherheit selbstverstandlich, in Elektro- 
nik 24/1991, Seiten 138 bis 141 ist es bekannt, mittels eines 
Watchdogs den Systemtakt eines Prozessors zu iiberwachen. 
Aus der Offenlegungsschrift DE 28 41 073 Al ist es be- 
kannt, mittels eines Watchdogs die Systemkomponenten des 
Prozessors zu iiberwachen und eine Fehlermeldung auszu- 
geben. 

[0004] Es ergibt sich daher die Aufgabe, eine Vorrichtung 
zur Uberwachung eines Prozessors zu schaffen, die eine ho- 
here Sicherheit und eine schnellere Verarbeitung ermog- 
licht. 

Vorteile der Erfindung 

[0005] Die erfindungsgemaBe Vorrichtung zur Uberwa- 
chung eines Prozessors mit den Merkmalen des unabhangi- 
gen Patentanspruchs hat demgegenuber den Vorteil, dass die 
Aufgaben des Watchdogs getrennt und unabhangig vonein- 
ander aber parallel erledigt werden konnen. Damit werden 
dann nicht nur dominante Fehler erkannt, sondem alle bei 
den jeweiligen Erledigungen der Aufgaben vorkommende 
Fehler. Zu diesen Aufgaben gehoren die Systemtaktuberwa- 
chung, die Uberwachung der korrekten Abfolge von system- 
relevanten Softwarebasisfunktionen und die Uberwachung 
von Built-In-Self-Tests von Systemkomponenten, wie es 
beispielsweise Speicherbausteine oder andere prozessorin- 
terne Komponenten sind. 

[0006] Weiterhin wird vorteilhafterweise auf eine Reset- 
funktion verzichtet, es wird hier vielrnehr bei erkannten 
Fehlem eine Fehlermeldung dem Prozessor, das ist der Mi- 
krocontroller, signalisiert und ein Fehlerzahler wird gegebe- 
nenfalls inkrementiert. Damit ist es moglich, dass der Pro- 
zessor jederzeit mit dem Watchdog, aber auch mit der Um- 
gebung des Steuergerats, in dem sich der Prozessor befindet, 
kommunizieren kann. 

[0007] Durch die in den abhangigen Anspruchen aufge- 
fuhrten Mafinahmen und Weiterbildungen sind vorteilhafte 
Verbesserungen der im unabhangigen Patentanspruch ange- 
gebenen Vorrichtung zur Uberwachung eines Prozessors 
moglich. 

[0008] Besonders vorteilhaft ist, dass der Watchdog eine 
Softwareuberpriifung durch das Ubersenden von Testfragen 
an den Prozessor durchfuhrt, wobei der Watchdog dann vom 
Prozessor entsprechende Antworten auf Richtigkeit. iiber- 
priift und ob diese Antworten zum richtigen Zeitpunkt emp- 
fangen wurden. Damit werden die relevanten Softwareba- 



sisfunktionen des Prozessors auf korrekte Funktion hin 
iiberpriift. 

[0009] Dariiber hinaus ist es von Vorteil, dass die Uber- 
priifung von Systemkomponenten durch Testauftrage vom 

5 Watchdog an den Prozessor initialisiert werden, wobei der 
Watchdog dann entsprechende Auftragsbestatigungen auf 
Richtigkeit und den entsprechenden Zeitpunkt des Emp- 
fangs der Auftragsbestatigung hin iiberpriift. 
[0010] Es ist von Vorteil, dass bei einem erkannten Fehler 

10 eine Sperrung des an den Prozessor angeschlossenen Gerats, 
vorzugsweise einer Endstufe zum Ziinden eines Airbags, fur 
eine vorgegebene Zeit durch den Watchdog direkt vorge- 
nommen wird. Werden innerhalb dieser Sperrzeit weitere 
Fehler erkannt, wird die Sperrung entsprechend verlangert. 

15 Fiihrt ein Fehler zu einer Sperrung wird ein Fehlerzahler in- 
krementiert. Ist der Fehlerzahler gleich einem vorgegebenen 
Wert, dann wird die Sperrung bis zu einem Abschalten des 
Watchdogs durchgefiihrt. Bei einem Kraftfahrzeug ist dies 
die Zeitspanne, bis der Fahrzyklus abgeschlossen ist, also 

20 das Fahrzeug ausgeschaltet wird. 

[0011] Es ist weiterhin von Vorteil, dass, wenn die erfin- 
dungsgemaBe Vorrichtung eingeschaltet wird, zunachst ei 
Sperrung des an den Prozessor angeschlossenen Gerats vor- 
liegt und diese Sperrung nur aufgehoben wird, wenn eine 

25 Fehlerfreiheit des Systemtakts, der Software des Prozessors 
und der Systemkomponenten vorliegt. Damit wird ermog- 
licht, dass das an den Prozessor angeschlossene Gerat nur 
bei einem korrekt funktionierenden Prozessor angesteuert 
werden kann. 

30 [0012] Dabei ist es von Vorteil, dass der Prozessor den ak- 
tuellen Fehlerzahlerstand und die Einzelfehler von dem 
Watchdog auslesen kann. Damit ist eine genaue Analyse der 
Fehler moglich. Auch eine Progonose, Hinweise zur Kor- 
rektur oder gar eine Warming kann damit erzeugt werden. 

35 [0013] SchlieBlich ist es auch von Vorteil, dass der Zeit- 
punkt des Empfangs der Auftragsbestatigung bzw. der Ant- 
wort des Prozessors durch einen internen Zahler des Watch- 
dogs festgestellt wird und dass wenn der Zeitpunkt iiber- 
oder unterschritten wird, auf einen Fehler erkannt wird. 

40 

Zeichnung 

[0014] Ausfuhrungsbeispiele der Erfindung sind in der 
Zeichnung dargestellt und werden in der nachfolgenden Be- 

45 schreibung naher erlautert. Es zeigt Fig. 1 ein Blockschalt- 
bild der erfindungsgemaBen Vorrichtung, Fig. 2 ein FluBdia- 
gramm eines Verfahrens der erfindungsgemaBen Vorrich- 
tung und Fig. 3 ein Blockschaltbild des Watchdogs, das die 
jeweiligen Funktionsblocke fiir die einzelnen Uberpriifun- 

50 gen zeigt. 

Beschreibung 

[0015] Heutige Watchdogs miissen verse hiedene Aufga- 
55 ben zur Uberwachung eines Prozessors durchfuhren. Haufig 
wird dabei als Prozessor ein Mikrokontroller in sicherheits- 
kritischen Systemen eingesetzt. Es sind dabei jedoch auch 
andere Prozessortypen einsetzbar. Sicherheitskritische Sy- 
steme sind beispielsweise Riickhaltesysteme in einem Kraft- 
60 fahrzeug. Hier ist daher eine Uberpriifung eines steuernden 
Prozessors notwendig, um eine Fehlauslosung eines Airbags 
zu verhindern, die zu Verletzungen fuhren kann. Der Prozes- 
sor befindet sich dabei mit dem Watchdog in einem Steuer- 
gerat. fur das Ruckhaltesystem. 
65 [0016] ErfindungsgemaB wird daher eine Vorrichtung ein- 
gesetzt, die fiir die verse hiedenen Aufgaben jeweils eine ei- 
gene Hardware in einem Watchdog aufweist, so dass eine 
Parallelverarbeitung der Aufgaben vorliegt. Weiterhin hat 
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die erfindungsgemaBe Vorrichtung den Vorteil, dass beim 
Vorliegen eines Fehlers mit der Umgebung, beispielsweise 
mit externer Diagnose-Software, kommuniziert werden 
kann, da kein Neustart, also kein Reset vorgenommen wird. 
Der Watchdog erfullt hier folgende Aufgaben gleichzeitig 
und unabhangig voneinander: Die Uberwachung des Sy- 
stemtakts des Prozessors, die Softwareuberprufung bei dem 
Prozessor und die Uberwachung der Tests von Systemkom- 
ponenten des Prozessors, beispielsweise von Speicherbau- 
steinen (RAM). Fur jede dieser drei Aufgaben ist ein eigener 
Block an Hardware vorhanden, wobei dies alternativ auch 
auf einem Prozessor ablaufen kann, der den jeweiligen Auf- 
gaben entsprechende Rechenzeit zuordnet. Frage bezie- 
hungsweise Auftrag werden vom Watchdog an den Prozes- 
sor iibergeben. Die Frage wird mittels kleiner Watchdog- 
funktionen manipuliert, die in den Softwarebasisfunktionen 
des Prozessors ablaufen. Die Auftrage stoBen Testroutinen 
im Hintergrund an. Diese Tests prufen dann beispielsweise 
RAM, ROM und/oder andere Systemkomponenten. 
[0017] Wird ein Fehler erkannt, wird eine Sperrung durch 
den Watchdog eines an den Prozessor angeschlossenen Ge- 
rats veranlasst. Damit wird verhindert, dass eine Fehlfunk- 
tion des Prozessors zur Auslosung eines Gerats, beispiels- 
weise eines Ruckhaltesystems fuhrt. 

[0018] In Fig, 1 ist ein Blockschaltbild der erfindungsge- 
maBen Vorrichtung zur Uberwachung eines Prozessors dar- 
gestellt. Ein Watchdog 4 weist die Komponenten Fenster- 
Watchdog 5, Taktgeber 6 und Zahler 7 auf. Der Fenster- 
Watchdog 5 weist Logikschaltkreise auf. Ein Prozessor 1 ist 
liber einen ersten Datenein- /-ausgang mit einern Speicher 2 
verbunden, wobei der Speicher 2 auch im Prozessor 1 inte- 
griert sein kann. Der Prozessor 1 ist iiber einen zweiten Da- 
ten ein-/- ausgang mit einem Ruckhaltesystem 3 verbunden. 
Die Verbindung kann auch iiber einen Bus realisiert sein, 
Uber einen dritten Datenein-/- ausgang ist der Prozessor 1 
mit dem Fenster- Watchdog 5 verbunden. Ein Datenausgang 
des Prozessors 1 fiihrt zu einem ersten Dateneingang des 
Fenster- Watchdogs 5. Gegebenenfalls sind innerhalb des 
Fenster- Watchdogs 5 Taktteiler vorhanden, die den Takt ent- 
sprechend teilen. An einen zweiten Dateneingang des Fen- 
ster- Watchdogs 5 ist der Taktgeber 6 angeschlossen. Der 
Taktgeber 6 ist unabhangig von dem Takt, den der Prozessor 
1 verwendet. Uber einen zweiten Datenein-/- ausgang ist der 
Fenster- Watchdog 5 mit dem Zahler 7 verbunden. Der Takt- 
geber 6 und der Zahler 7 konnen jeweils Bestandteil des 
Fenster- Watchdogs 5 sein. Anstatt des einen Zahlers 7 kon- 
nen jeweils ein Zahler fur die Uberwachung der Softwareba- 
sisfunktionen und ein Zahler fur die Uberwachung der Tests 
der Systemkomponenten vorgesehen sein. Weiterhin ist der 
Fenster- Watchdog 5 uber einen Datenausgang direkt mit 
dem Ruckhaltesystem 3 verbunden, um bei einem erkannten 
Fehier das Ruckhaltesystem 3 zu sperren. 
[0019] Der Prozessor 1 steuert. hier das Ruckhaltesystem 
3. Dazu ist der Prozessor 1 gegebenenfalls mit Sensoren ver- 
bunden, um ein Ausloseereignis fur das Ruckhaltesystem 3 
zu erkennen und um gegebenenfalls zu schutzende Personen 
im Fahrzeug zu k^assifizieren. Der Prozessor 1 wird in sei- 
ner Funkuon durch den Fenster- Watchdog 5 iiberpruft. 
Diese Funktionsuberprufung gliedert sich in drei Aufgaben 
auf. Zum einen wird der Systemtakt des Prozessors 1 uber- 
priift, um festzustellen, ob dieser Systemtakt von einem vor- 
gegebenen Wert abweicht. Dazu iibertragt der Prozessor 1 
seinen Systemtakt an den Fenster- Watchdog 5. 
[0020] Der Fenster- Watchdog 5 zahlt diesen Takt und ver- 
gleicht ihn mit einem Referenztakt, der mit dem Taktgeber 6 
erzeugt wird. Ist die Abweichung zwischen dem Systemtakt 
des Prozessors 1 und dem Takt des Taktgebers 6 iiber einem 
bestimmten Schwellwert, dann wird auf einen Fehler er- 



kannt. Dieser Fehler wird dann dem Prozessor 1 signalisiert, 
ein Fehlerzahler wird inkrementiert und der Fenster- Watch- 
dog 5 veranlasst, iiber direkte Leitungen, dass das Ruckhal- 
tesystem 3 fur eine bestimmte Zeit gesperrt wird. Wird in- 
5 nerhalb dieser vorgegebenen Zeit ein weiterer Fehler er- 
kannt, dann wird die Sperrung um eine entsprechende Zeit 
verlangert. 

[0021] Der Fenster- Watchdog 5 iiberpriift weiterhin die 
Funktionsfahigkeit von Softwarebasisfunktionen des Pro- 

10 zessors 1. Diese Softwarebasisfunktionen sind fur die 
grundlegende Funktionalitat des Prozessors 1 notwendig. 
[0022] Die eigentliche Aufgabe eines Steuergerats fur die 
Ruckhaltesy steme 3 ist es, einen Crash zu erkennen. Dazu 
werden folgende Funktionen als die Softwarebasisfunktio- 

15 nen beispielsweise alle 500 us abgearbeitet: 
Einlesen der Sensorsignale 
Signalaufbereitung 

Algorithmus zur Steuerung des Riickhaltesy stems rechnen 
Im Crashfall: zugeordnete Zundrnittel bestimmen 

20 Diese Ziindmittel ziinden 

[0023] Diese Funktionen mussen alle abgearbeitet wer- 
den, wobei " insbesondere diese Reihenfolge eingehalten 
werden muB. Beispielsweise ist es nicht moglich den Algo- 
rithmus zu rechnen, ohne Sensorsignale eingelesen zu ha- 

25 ben. 

[0024] Diese Uberpriifung fuhrt der Fenster- Watchdog 5 
iiber seinen ersten Datenein-Aausgang durch. Dazu versen- 
det der Fenster- Watchdog 5 Testfragen an den Prozessor 1, 
die der Prozessor 1 gemaB den vorhandenen Softwarebasis- 

30 funktionen beantwortet. Diese Antworten iibertragt der Pro- 
zessor 1 dann an den Fenster- Watchdog 5, der die Antwor- 
ten mit jeweils vorgegebenen Antworten vergleicht und 
auch den jeweiligen Zeitpunkt bestimmt, an dem er die je- 
weiligen Antworten empfangen hat. Diese Zeitpunkte be- 

35 stimmt der Fenster- Watchdog 5 mittels des Zahlers 7. 
Weicht die Antwort oder der Zeitpunkt von vorgegebenen 
Werten ab, dann erkennt der Fenster- Watchdog 5 auf einen 
Fehler und fuhrt wie dargestellt die entsprechende Fehlerbe- 
handlung durch (Sperrung des Ruckhaltesystems 3). Im Pro- 

40 zessor 1 wird dabei die Frage des Watchdogs 5 unter Zuhil- 
fenahme von einfachen Watchdogfunktionen, das sind im 
Wesentlichen Schiebe- und Maskieroperationen, verandert. 
Nachdem alle Watchdogfunktionen, die in den systemrele- 
vanten Softwarebasisfunktionen verteilt sind, abgearbeitet 

45 sind, wird der so entstandene Wert als Antwort an den 
Watchdog zuriickgegeben. Bei der Uberpriifung durch den 
Fenster- Watchdog 5 wird sichergestellt, dass die Reihen- 
folge der Watchdogfunktionen und die Abarbeitung aller 
Watchdogfunktionen eingehalten wurde. Der Zahler 7 ist 

50 derart ausgebildet, dass ein Fehler erkannt wird, wenn die 
Antwort zu friih oder zu spat kommt. 

[0025] Der Fenster- Watchdog 5 fuhrt iiber seinen Daten- 
ein-/- ausgang weiterhin eine Uberwachung der Tests der Sy- 
stemkomponenten des Prozessors durch. Dafiir ubermittelt 

55 der Watchdog 5 Testauftrage an den Prozessor 1, die dieser 
abarbeitet und entsprechende Auftragsbestatigungen an den 
Fenster- Watchdog 5 zuriicksendet. Wiederum iiberwacht 
der Fenster- Watchdog 5 anhand der Auftragsbestatigung, ob 
die Tests der Systemkomponenten richtig waren und zum 

60 richtigen Zeitpunkt empfangen wurden. Sind die Auftrags- 
bestatigungen nicht richtig oder kam die Auftragsbestati- 
gung zu friih oder zu spat, dann wird auf einen Fehler er- 
kannt. Mit dem Testauftrag wird ein Test einer Systemkom- 
ponente angesloBen. Der Test, fuhrt dann selbst zu der Auf- 

65 tragsbestatigung. Hierbei ist sichergestellt, dass die Auf- 
tragsbestatigung nur dann der erwarteten Auftragsbestati- 
gung entspricht, wenn der Test der Systemkomponente feh- 
ler frei abgearbeitet wurde. 
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[0026] Die Uberpriifung der Softwarebasisfunktionen 
mittels der Watchdogfunktionen wird dabei im Prozessor 1 
mit einer hoheren Prioritat bearbeitet als die Uberpriifung 
der Systemkomponenten. Dabei wird in einer vorgegebenen 
Zeitdauer nur die Restzeit der Uberpriifung der Systemkom- 5 
ponenten zugeordnet. Fiir jede der drei Aufgaben der Sy- 
stemtaktuberpriifung, der Softwareuberprufung und der Sy- 
stemkomponentenuberprufung weist der Fenster- Watchdog 
5, wie in Fig. 3 dargestellt eigene Hardwarekomponenten 
aus Logikschaltkreisen auf, so dass eine echte Parallelitat 10 
der Abarbeitung auf Seiten des Fenster- Watchdogs vorliegt. 
[0027] Der Block 23 ist fur die Uberpriifung des Takts, der 
Block 24 fur die Uberpriifung der Softwarebasisfunktionen 
und der Block 25 fur die Uberpriifung der Systemkompo- 
nenten zustandig. Am ersten Eingang der Taktuberpriifung 15 
23 wird der Systemtakt angelegt. Dieser wird dann von der 
Taktuberpriifung 23 auf seine Abweichung vom vorgegebe- 
nen internen Referenztakt hin iiberpriift, wobei am zweiten 
Eingang des Funktionsblocks 23 der Taktgeber 6 anliegt. 
Liegt ein Fehler vor, wird am Ausgang des Funktionsblocks 20 
23 ein Signal erzeugt, das mit einem Oder-Gatter 26 ver- 
kniipf t wird mit den Ausgangen der Funktionsblocke 24 und 
25, so dass, wenn wenigstens ein Fehler erkannt wird, am 
Ausgang 27 des Oder-Gatters 26 ein Fehler angezeigt wird. 
Der Funktionsblock 24 ist daneben iiber seinen Datenein-/- 25 
ausgang mit dem Datenein-/-ausgang des Prozessors 1 der- 
artig verbunden, so dass eine "Qberpriifung der Softwareba- 
sisfunktionen moglich ist. Der Funktionsblock 25 ist dage- 
gen iiber seinen Datenein-Aausgang mit dem Prozessor 1 
derart verbunden, dass ein Test der Systemkomponenten 30 
hierbei moglich ist. 

[0028] Da der Prozessor 1 mit dem Fens ter- Watchdog 5 
jederzeit, auch wahrend einer Sperrung kommunizieren 
kann, ist es weiterhin moglich, dass der Prozessor 1 den 
Fehlerzahlerstand und die Einzelfehler zur weiteren Verar- 35 
beitung auslesen kann. 

[0029] In Fig. 2 ist ein FluBdiagramm dargestellt, das den 
Arbeitsablauf der ernndungsgemafien Vorrichtung darstellt. 
[0030] In Verfahrensschritt 8 wird die erfindungsgemaBe 
Vorrichtung eingeschaltet, und es wird zunachst eine Sper- 40 
rung des Riickhaltesystems 1 durch den Fenster- Watchdog 5 
veranlasst. In Verfahrensschritten 9a, 9b und 9c werden 
dann parallel und unabhangig voneinander der Systemtakt, 
die Softwarebasisfunktionen und die Systemkomponenten 
iiberwacht. 45 
[0031] In Verfahrensschritt 10 wird iiberpruft, ob am 
Oder-Gatter 26 wenigstens ein Fehler angezeigt wird oder 
nicht. Ist das der Fall, dann wird zu den Verfahrensschritten 
9a, 9b und 9c zuriickgesprungen, um zu iiberpriifen, ob der 
Systemtakt, die Software und die Systemkomponenten 50 
schon fur eine Mindestzeit in Ordnung sind oder nicht. Alle 
Teile 23, 24 und 25 des Fens ter- Watchdogs 5 miissen bei- 
spielsweise fiir eine Sekunde richtig bedient. werden, um das 
Ruckhaltesystem zu entsperren. Nur dann wird auf Fehler- 
freiheit erkannt und nach Verfahrensschritt 10 kann dann zu 55 
Verfahrensschritt 11 gesprungen werden, um die Sperrung 
des Riickhaltesystems 3 aufzuheben. 

[0032] In den Verfahrensschritten 12a, 12b und 12c wer- 
den nun erneut Tests des System takts, der Softwarebasis- 
funktionen und der Systemkomponenten des Prozessors 1 60 
durchgefiihrt. In Verfahrensschritt 13 wird wiederum iiber- 
pruft, ob ein Fehler am Ausgang des Oder-Gatters 26 ange- 
zeigt wird oder nicht. Ist das nicht der Fall, dann wird zuriick 
zu den Verfahrensschritten 12a, 12b und 12c gesprungen, 
um erneut die Tests durch zufiihren. Wurde jedoch ein Fehler 65 
erkannt, dann wird in Verfahrensschritt 14 dieser Fehler dem 
Prozessor 1 von dem Fenster- Watchdog 5 signalisiert, ein 
Fehlerzahler wird inkrementiert und das Ruckhaltesystem 3 
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wird gesperrt. In Verfahrensschritt 15 wird weiterhin iiber- 
pruft, ob der Fehler inzwischen einen vorgegebenen Wert er- 
reicht hat, der zu einer dauerhaften Sperrung des Riickhalte- 
systems 3 bis zum Abschalten der erfindungsgemaBen Vor- 
richtung fiihren wurde. Daher wird dann in Verfahrensschritt 
16 die Sperrung bis zum Abschalten beibehalten. 
[0033] In Verfahrensschritt 17 wird aber, wenn der Zahler- 
stand noch nicht erreicht wurde, die Sperrung fiir eine vor- 
gegebene Zeit eingestellt. In den Verfahrensschritten 18a, 
18b und 18c werden emeut der Systemtakt, die Softwareba- 
sisfunktionen und die Systemkomponenten iiberpruft, um 
dann in Verfahrensschritt 20 festzustellen, ob ein Fehler in- 
nerhalb der Sperrung des Riickhaltesystems 3 erkannt 
wurde, so dass dann, wenn dies der Fall ist, in Verfahrens- 
schritt 21 die Sperrung entsprechend zu verlangern ist. Ist 
das nicht der Fall, dann wird in Verfahrensschritt 22 nach 
Ablauf der Zeitdauer die Sperrung aufgehoben, um dann zu 
Verfahrensschritt 14 zuriickzuspringen. 

Patentanspriiche 

1 . Vorrichtung zur Uberwachung eines Prozessors (? 
wobei der Prozessor (1) mit einem Watchdog (5) zui 
Uberwachung verbindbar ist, wobei der Watchdog (5) 
mit einem internen Taktgeber (6) zur Uberwachung ei- 
nes Systemtakts des Prozessors (1) verbindbar ist, wo- 
bei der Watchdog (5) Mittel zur Softwareuberprufung 
des Prozessors (1) und Mittel zur Uberwachung von 
Tests von Systemkomponenten (2) des Prozessors (1) 
aufweist und wobei der Watchdog (5) bei wenigstens 
einem erkannten Fehler eine Fehlermeldung an den 
Prozessor (1) ubertragt und einen Fehlerzahler inkre- 
mentiert. 

2. Vorrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, dass der Watchdog (5) bei der Softwareuber- 
prufung dem Prozessor (1) Testfragen ubermittelt und 
Antworten des Prozessors (1) auf Richtigkeit und Zeit- 
punkt iiberwacht. 

3. Vorrichtung nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, dass bei Uberwachung der Tests der Sy- 
stemkomponenten (2) der Watchdog (5) dem Prozessor 
(1) Testauftrage ubermittelt und der Prozessor (1) dem 
Watchdog (5) entsprechend der Auftragsbestatigung 
zuriicksendet, die der Watchdog (5) auf Richtigkeit und 
Zeitpunkt iiberwacht. 

4. Vorrichtung nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass der Watchdog 
(5) bei dem wenigstens einen erkannten Fehler ein an 
den Prozessor (1) angeschlossenes Gerat (3) in seiner 
Funktion fiir eine vorgegebene Zeitdauer sperrt, wobei 
der Watchdog (5) direkt mit dem Gerat (3) verbindbar 
ist. 

5. Vorrichtung nach Anspruch 4, dadurch gekenn- 
zeichnet, dass der Watchdog (5) die Sperrung des Ge- 
rats (3) verlangert, sofern der Watchdog (5) wahrend 
der Sperrung wenigstens einen weiteren Fehler er- 
kennt. 

6. Vorrichtung nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass, wenn der Feh- 
lerzahler einen vorgegebenen Wert erreicht hat, der 
Watchdog (5) eine Sperrung des Gerats (3) bis zur Ab- 
schaltung des Watchdogs (5) veranlasst. 

7. Vorrichtung nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass das mit dem 
Prozessor (1) verbindbare Gerat. (3) ein Ruckhaltesy- 
stem ist. 

8. Vorrichtung nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass der Watchdog 
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(5) beirn Einschalten eine Sperrung des Gerats (3) ver- 
anlasst, bis der Watchdog (5) Fehlerfreiheit bei dem 
Systemtakt, der Software des Prozessors (1) und den 
Systemkomponenten erkennt. 

9. Vorrichtung nach einem der vorhergehenden An- 5 
spruche, dadurch gekennzeichnet, dass durch den Pro- 
zessor (1) der Fehlerzahler und Einzelfehler von dem 
Watchdog (5) auslesbar sind. 

10. Vorrichtung nach einem der Anspriiche 2 bis 9, da- 
durch gekennzeichnet, dass der Watchdog (5) die Zeit- 10 
punkte der Antworten des Prozessors (1) und die Auf- 
tragsbestatigungen durch wenigstens einen intemen 
Zahler (7) bestimmt. 
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AB: NOVELTY - The processor monitoring device uses a watchdog 

(5) coupled to an internal clock source (6) for monitoring the 
system clock of the processor (1) and providing a processor 
software checking function and a processor system component 
check monitoring function. The watchdog provides a detected 
fault signal for the processor, used for indexing a fault 
counter. The controlled device (3) coupled to the processor can 
be blocked for a defined time interval upon detection of a 
fault by the watchdog, with extension of the blocking time when 
a subsequent fault is detected.; USE - The device is used for 
monitoring a control processor, e.g. a microcontroller for an 
automobile safety restraint system. ADVANTAGE - The device 
prevents incorrect operation of the device controlled by the 
processor. DESCRIPTION OF DRAWING (S) - The figure shows a block 
circuit diagram of a processor monitoring device. Processor 1 
Controlled device 3 Watchdog 5 
PA: (BOSC ) BOSCH GMBH. ROBERT; (HUBE/) HUBER T; 

(SCHU/) SCHUMACHER : H;. (TAU£/ ); TAUFER P; (TSCH/) TSCHENTSCHER H; 
(ULME/) ULMER M; 

IN: HUBER T; SCHUMACHER H; TAUFER_P; TSCHENTSCHER H; ULMER M; 
FA: DE10056408-C1 07.03.2002; fuS2004 15388 6-Alf 05 . 08 . 2004 ; 

WO200241148-A1 23.05.2002; EP1337921-A1 27.08.2003; 

JP2004514215-W 13.05.2004; 
CO: AT; BE; CH; CY; DE; DK; EP; ES; FI; FR; GB; GR; IE; IT; JP; 

LI; LU; MC; NL; PT; SE; TR; US; WO; 
DN: JP; US; 

DR: AT; BE; CH; CY; DE; DK; ES; FI; FR; GB; GR; IE; IT; LU; MC; 

NL; PT; SE; TR; LI; 
IC: G06F-011/00; G06F-011/30; 
MC: T01-G05A; T01-K; 
DC: T01; 

FN: 2002156030.gif 

PR: DE1056408 14.11.2000; 

FP: 07.03.2002 

UP: 13.08.2004 



http://fiz.mchp.siemens.de/HTML/2793788.html 



10.05.2005 




THIS PAGE BLANK &m 




http://fiz.mchp.siemens.de/HTML/2793788.html 



10.05.2005 



THIS PAGE BLANK (uspto) 



DOCKET NO: S3^M2!MJa — 

SERIAL NO: [a/SS, a <° 

APPLICANT: _£xn A ka$ht*l 

LERNER AND GREENBERG P.A. 

P.O. BOX 2480 
HOLLYWOOD, FLORIDA 33022 
TEL. (954) 925-1100 



